האם ChatGPT תואם ל-HIPAA? מה זה אומר למטופלים ומרפאות

לא. האם ChatGPT תואם ל-HIPAA בכל תוכנית שניתן לרכוש היום? לא, מכיוון ש-OpenAI אינה חותמת על הסכם שותף עסקי עבור השכבות הצרכניות שלה. HIPAA מווסת ארגונים וחוזים, לא מודלים. ואם אתה מקליד את מידע הבריאות שלך בחשבון שלך, HIPAA מעולם לא חל.

TL;DR: נקודות עיקריות

• אין ChatGPT תואם HIPAA על המדף הצרכני. חינם, פלוס ו-Go, צוות, ומפעל לא נמכרים עם הסכם שותף עסקי (BAA).
• HIPAA מחייב תוכניות בריאות, בתי קלירינג, ספקים, וספקים החוזיים שלהם. זה לא מחייב אותך, הקלדת סימפטומים משלך בחשבון שלך.
• מה שמגן על הצרכנים במקום זאת הוא מדיניות הפרטיות של הספק, והנציבות הפדרלית למסחר, שכבר קנסה פלטפורמת בריאות ב-1.5 מיליון דולר.
• כיבוי אימון מודלים ושימוש בצ'אט זמני מפחית את החשיפה. זה לא יוצר כיסוי משפטי.
• אם מידע בריאות מוגן (PHI) כבר נכנס לצ'אט רגיל, התייחס לזה כאל הפרה פוטנציאלית וספר לקצין הפרטיות שלך באותו יום.

האם ChatGPT תואם ל-HIPAA? לא בכל גרסה שניתן להירשם אליה היום

האם ChatGPT תואם ל-HIPAA? לא. נכון לכתיבת שורות אלו, OpenAI אינה מציעה הסכם שותף עסקי בתוכניות הצרכניות שלה (חינם, פלוס ו-Go, צוות, או מפעל), וללא אותו חוזה חתום שום מוצר לא יכול להיות מכוסה. אף מודל AI אינו תואם HIPAA בעצמו: HIPAA מווסת ארגונים וחוזים, כך שהתאימות תלויה ב-BAA חתום בתוספת אופן ההגדרה, הגבלתו ורישום של המוצר.

הדרך היחידה שבה BAA נמצאת בכלל על הפרק היא קו המוצרים המכוון לבריאות ש-OpenAI השיקה בינואר 2026. קו מוצרים זה חדש, תנאיו הם העובדה המשתנה ביותר בדף זה, ועליכם לאמת את הזמינות עבור המוצר והרמה הספציפיים שלכם לפני שתסתמכו עליו.

כעת, ההקשר החשוב יותר מההכרעה: עבור רוב האנשים המקלידים בחשבון שלהם, HIPAA מעולם לא היה החוק הרלוונטי.

HIPAA מחייב את המרפאה שלך ואת הספקים שלה, לא אותך ואת המקלדת שלך

החוק מגיע בדיוק לשתי קבוצות, שתיהן מוגדרות ב-45 CFR §160.103: ישויות מכוסות (תוכניות בריאות, בתי קלירינג רפואיים, וספקים המשדרים מידע בריאותי אלקטרונית עבור עסקאות סטנדרטיות) ושותפים עסקיים, כלומר כל מי שיוצר, מקבל, שומר, או משדר PHI תוך ביצוע פונקציה בשם ישות מכוסה. הביטוי הזה נושא את כל המשקל. חברה שמקבלת בטעות טקסט הקשור לבריאות מחבר מהציבור אינה שותף עסקי.

HHS כבר עבד על זה עבור אפליקציות. הנחיות תרחישי שימוש באפליקציות בריאות שלה אינן מוצאות יחסים של שותף עסקי כאשר אדם ממלא אפליקציה בנתונים משלו ביוזמתו, ללא חוזה מאחוריה.

לכן, כשאתה מדביק את הסימפטומים שלך בחשבון ChatGPT שלך, HIPAA אינו חל, ו-OpenAI אינה מפרה אותו. זו לא פרצה. זו הארכיטקטורה של החוק.

מה שמגן עליך במקום זאת הוא מדיניות הפרטיות של OpenAI, שמתפקדת כהבטחה ניתנת לאכיפה, בתוספת ה-FTC. כלל ההודעה על הפרת בריאות המתוקן משנת 2024 מכסה במפורש אפליקציות בריאות וטכנולוגיות דומות שאינן כפופות ל-HIPAA. והאכיפה הזו אמיתית: ה-FTC השיג קנס אזרחי של 1.5 מיליון דולר נגד GoodRx בשנת 2023 בגין מסירת נתוני מרשם ומצב בריאותי לפייסבוק וגוגל.

החזק את הניגוד בראשך. צ'אטבוט צרכני חייב לך מדיניות פרטיות. אפליקציית טלרפואה שמכוסה בחוזה חייבת לך HIPAA. בין ביקורים, אפליקציית ליווי בריאות כמו August AI יכולה לעזור לך לרשום סימפטומים ולשאול שאלות בשפה פשוטה, כתוספת לטיפול ולא כתחליף לו, ולעולם לא כדבר שמקבל החלטות.

הבעיה האמיתית היא לא הצ'אטבוט. זה לאן המילים שלך הולכות אחר כך

האם ChatGPT משתף את הנתונים שלך? מכנית, כן, בדרכים הרגילות שמוצר ענן עושה. בשכבות צרכניות, ברירות המחדל מאפשרות לשיחות לשמש לשיפור מודלים, לשמירה לתקופה, ולסקירה על ידי בני אדם לבטיחות ותיקון בעיות. קבלנים משניים וספקי תשתית נוגעים בנתונים אלה תוך הפעלת השירות, וזו בדיוק השרשרת במורד הזרם שהסכם BAA נכתב כדי לווסת.

התשובה הכנה לשאלה האם ChatGPT משתף את הנתונים שלך היא שזה תלוי בשכבה שלך, בהגדרות שלך, ובמה שחיברת אליו. מה שמעלה את השגיאה שאני רואה הכי הרבה: כיבוי אימון המודלים ומעבר לצ'אט זמני מפחיתים אמיתית את החשיפה, ועליכם לעשות את שניהם. זה לא יוצר כיסוי HIPAA. הכרחי, לא מספיק.

ואז יש את הסיכון השקט יותר. מחברים מאפשרים ל-ChatGPT להגיע ל-Gmail, Google Drive, תיבת דואר נכנס משותפת של מרפאה, או כלי סמוך ל-EHR ולקרוא מה יש שם. אף אחד לא צריך להדביק כלום. מחבר המצביע על תיבת דואר מלאה במכתבי הפניה הוא חשיפה שמחכה לקרות, וזה לא ייראה כך ביומן ביקורת של אף אחד.

“פרטיות משופרת” של ChatGPT Health היא הבטחת מוצר, לא הבטחה משפטית

האם ChatGPT Health תואם ל-HIPAA?

האם ChatGPT Health תואם ל-HIPAA? לא. צרכן פרטי אינו יכול להשיג הסכם שותף עסקי על ChatGPT Health ללא קשר להגדרות הפרטיות שיבחר, מכיוון ש-BAA הוא חוזה בין ישות מכוסה לבין הספק שלה, ומטופל המשתמש בחשבון אישי אינו לא זה ולא זה.

טענות לגבי פרטיות משופרת, בידוד והצפנה הן טענות עיצוב מוצר. הן יכולות לתאר הנדסה אמיתית ועדיין להיות חסרות כל השפעה משפטית על האם HIPAA חל, מכיוון ש-HIPAA נסוב על מי אתה ומה חתמת, לא על איך שכבת האחסון בנויה.

מה שהמוצר משנה עבור מטופל הוא הטיפול הדיפולטיבי בנתונים שלך, ששווה משהו. זה לא יוצר יחסים מפוקחים. שמור זאת בנפרד במוחך ממהדורות הרפואה של קלינאים ומפעל שהושקו בינואר 2026, הנמכרות לארגונים והן המקום היחיד שבו ניתן לדון בחוזה.

רק הסכם שותף עסקי חתום יכול להפוך כלי AI לתואם

הסכם שותף עסקי של ChatGPT הוא המנגנון המשפטי היחיד שמושך את OpenAI לתוך HIPAA לשימוש הארגון שלך. כל השאר הוא היגיינה.

ה-BAA נחתם על ידי הארגון, לא על ידי קלינאי בודד, והוא חייב לציין את המוצר והרמה הספציפיים שבשימוש בפועל. BAA המכסה חשבון API אינו מכסה את לשונית הדפדפן שאליה נכנס מישהו עם כתובת אישית.

הנה מה שרוב הדפים לא יגידו לך: BAA חתום הוא רצפה, לא קו סיום. ללא בקרות גישה מבוססות תפקידים, רישום ביקורת שמישהו קורא בפועל, הגבלות מינימליות-הכרחיות על מה שנשלח, והדרכת כוח אדם המציינת כלי זה באופן ספציפי, יש לך חוזה ובעיית תאימות בו זמנית. קבל את זמינות BAA מאושרת בכתב על ידי OpenAI עבור SKU המדויק שלך במקום להסיק זאת מדף שיווקי. קו המוצרים של 2026 בן שבועות מבחינת רגולציה.

הסרת שם המטופל אינה זיהוי

החלטה לזהות PHI לפני השימוש ב-ChatGPT היא אינסטינקט נכון, אך הסף הוא תקן HHS, לא החלטת שיפוט. שתי שיטות כשירות: Safe Harbor, וקביעת מומחה רשמית על ידי סטטיסטיקאי מוסמך.

Safe Harbor פירושו הסרת כל 18 קטגוריות המזהים המפורטות, ואין ידיעה בפועל שהמה שנותר יכול לזהות מישהו. אלה שמות; גיאוגרפיה קטנה ממדינה; כל התאריכים הקשורים לאדם, כולל תאריכי קבלה, שחרור, ביקור, ותאריכי לידה; טלפון, פקס, ודוא"ל; מספר ביטוח לאומי, תיק רפואי, תוכנית בריאות, ומספרי חשבון; מספרי תעודות ורישיונות; מזהי רכב ומכשיר ומספרי סידוריים; כתובות URL וכתובות IP; ביומטריה; תמונות פנים מלאות; וכל קוד ייחודי אחר.

אלה שהקלינאים משאירים צפויים: תאריכי ביקור, העיר, גילאים מעל 89, ה-MRN היושב בכותרת ההערה שהודבקה, מספר סידורי של מכשיר, תמונה, וציטוטים מילוליים בטקסט חופשי שהם מספיק ייחודיים כדי לזהות את האדם בפני עצמם.

באופן קונקרטי, הערה שנצרה את שמה אך עדיין קוראת "גיל 34 בבוזמן, נצפה ב-3 במרץ, אבחנה אוטואימונית נדירה מאושרת" אינה נתונים שזוהו. זהו PHI עם השדה הקל ביותר שנמחק.

זיהוי גם אינו פתרון קסם. זה מסיר את שאלת HIPAA. זה לא מסיר את מדיניות השימוש המקובל של המעסיק שלך, חוזי הספקים שלך, או חוקי פרטיות מדינתיים, כמה מהם משתרעים רחב יותר מ-HIPAA.

תהליך עבודה AI תואם בשישה שלבים, כולל אם PHI כבר נכנס

ChatGPT תואם HIPAA אינו קיים כמשהו שקונים; מה שקיים הוא הפער בין כלי לתהליך עבודה, וששת השלבים הללו סוגרים אותו.

1. החלט מי הקורא שלך. פעולה בשם ישות מכוסה פירושה ש-HIPAA חל על מה שאתה מקליד. שימוש בחשבון שלך עבור בריאותך פירושו שזה לא חל.
2. אמת בכתב אם BAA מכסה את המוצר והרמה המדויקים לפני כל שימוש קליני. אין BAA פירושו אין PHI, סוף פסוק.
3. כבה את אימון המודלים והשתמש בצ'אט זמני. אמור בקול רם מה זה: הפחתת סיכונים, לא תאימות.
4. בדוק ונתק מחברים שמגיעים לדוא"ל קליני, אחסון בענן, או כל דבר שסמוך ל-EHR, עד שכל אחד מהם ייבדק.
5. זהה לפי תקן Safe Harbor לפני הדבקה, ואז קרא גם את הפלט. מודלים משחזרים את הפרטים שהזנת להם.
6. אם PHI כבר נכנס, התייחס לכך כאל הפרה פוטנציאלית. הפסק להשתמש בשרשור. אל תמחק אותו בשקט, כי הוא ראיה. הודע לקצין הפרטיות או התאימות שלך באותו יום, תעד מה נחשף ומתי, ותן להם להריץ את הערכת הסיכון של כלל ההודעה על הפרה ולקבל את החלטת ההודעה. אל תאשר את זה בעצמך.

אם אתה מטופל ולא קלינאי, אף אחד מאלה לא חל עליך. אינך זקוק ל-BAA או לפתרון עקיף. החלט מה נוח לך לשתף, הרחק מזהים מהנחיות שלא היית מפרסם בציבור, ואם אינך בטוח עד כמה משהו דחוף, בודק הסימפטומים החינמי של August AI הוא צעד מיון ראשון סביר. כאשר מה שאתה צריך הוא טיפול ולא מידע, למשל הערכת ADHD מקוונת, זה קורה במסגרת קשר עם ספק שבו HIPAA חל מהטופס הראשון.

כמה סימפטומים לעולם לא צריכים ללכת לצ'אטבוט קודם

שום דבר בעצות הפרטיות של מאמר זה לא אמור לעכב טיפול חירום. אם אתה מחליט בין הקלדה להתקשרות, התקשר.

התקשר 911 או לך לחדר מיון עכשיו אם:

• יש לך כאבים בחזה או קשיי נשימה.
• יש לך חוסר תחושה פתאומי, דיבור עילג, או נפילת פנים, שהם סימני שבץ.
• יש לך דימום חמור.
• יש לך מחשבות על התאבדות. הפסק להקליד והתקשר 911 או 988. צ'אט AI אינו יכול לבדוק אותך או לשלוח עזרה.

קבע ביקור בשבוע הקרוב אם:

• אתה ממויין סימפטום זה עם צ'אטבוט במשך ימים והוא אינו משתפר.
• יש לך גוש חדש או שינוי לא מוסבר במשקל.
• הצ'אטבוט ממשיך להגיד לך לראות רופא. זו התשובה, לא מקום החזקה.

דבר עם קלינאי לפני שאתה מתחיל אם:

• תשובת AI אומרת לך להפסיק תרופה במרשם, לשנות מינון, או להתעלם מצוות הטיפול שלך. אשר עם המרשם שלך קודם. כלים אלה מייצרים הנחיות רפואיות שגויות בביטחון, והם עושים זאת באותו טון שהם משתמשים בו כשהם צודקים.

עבור הרמה האמצעית, ביקור דחוף מקוון של August ב-39 דולר מחבר אותך לקלינאי בעל רישיון בארה"ב שיכול להעריך סימפטומים ולרשום מרשמים כאשר הוא מחשיב זאת מתאים. הקלינאי מחליט. ביקור וידאו אינו יכול לבדוק אותך באופן אישי, להזמין הדמיה במקום, או לנהל מקרה חירום, ולכן כל דבר בשכבה הראשונה שייך לחדר מיון.

שאלות נפוצות

האם מרפאה יכולה להיקנס אם חבר צוות מדביק מידע מטופל ל-ChatGPT?

כן. האחריות מוטלת על הארגון, לא על היחיד. תחת התאמת אינפלציה של 28 בינואר 2026, קנסות כספיים אזרחיים של HIPAA נעים ממינימום של דרגה 1 של 145 דולר לקנס ועד מינימום של דרגה 4 של 73,011 דולר לקנס, עם תקרה שנתית של 2,190,294 דולר לקטגוריית קנס. כל רשומה יכולה להיחשב בנפרד, וזו הדרך שבה תקריות קטנות הופכות למספרים גדולים.

האם Microsoft Copilot, Google Gemini, או Claude תואמים ל-HIPAA במקום זאת?

בדרך כלל לא, והתשובה הכנה היא עיקרון ולא דירוג ספק. תאימות עוקבת אחר החוזה, לא אחר המודל. אף צ'אטבוט צרכני מכל ספק אינו נמכר תחת BAA, וגם ChatGPT אינו תואם HIPAA בשכבות הצרכניות שלו. אם ספק אומר לך שהצעת המפעל או הענן שלו יכולה להיות מכוסה, קבל זאת בכתב המציין את המוצר המדויק שלך.

האם אני יכול להגיש תלונה על HIPAA נגד OpenAI?

בדרך כלל לא. משרד זכויות האזרח של HHS מקבל תלונות על ישויות מכוסות ושותפיהן העסקיים. ללא BAA, OpenAI אינה לא זו ולא זו, ול-OCR אין סמכות שיפוט על הצ'אטים האישיים שלך. ה-FTC הוא המקום הנכון לתלונה צרכנית על כלי בריאות שאינו HIPAA, תחת חוק ה-FTC וכלל ההודעה על הפרת בריאות.

אם אני מוחק שיחת ChatGPT, האם מידע הבריאות נעלם?

לא. מחיקה מסירה את השרשור מתצוגתך ומתחילה שעון שמירה; עותקים עשויים להישאר בגיבויים, במערכות בטיחות, ובלוגים של קבלנים משניים לפרק זמן. חשוב יותר עבור מרפאה, מחיקה אינה מבטלת גילוי שכבר התרחש. אם PHI נכנס, חובת התאימות קיימת בכל מקרה, ומחיקת השרשור הורסת את הראיות שקצין הפרטיות שלך צריך.

האם המעסיק שלי יכול לראות את שאלות הבריאות שהקלדתי בחשבון ChatGPT בעבודה?

כן, באופן פוטנציאלי. בתוכניות חלל עבודה, הארגון הבעלים של החשבון, קובע שמירת מידע, ויכולה להיות לו גישה מנהלית לנתוני שיחות. הנח כל דבר שהוקלד בחשבון עבודה ניתן לצפייה על ידי המעסיק שלך, בדיוק כמו דוא"ל עבודה. שאלות בריאות אישיות שייכות לחשבון אישי במכשיר אישי, בזמנך הפנוי.

האם משהו שאני שואל את ChatGPT לגבי בריאותי יגיע לתיק הרפואי שלי או יגיע למבטח שלי?

לא. צ'אטבוט צרכני אינו קשור ל-EHR של הקלינאי שלך או לתוכנית הבריאות שלך, והצ'אטים שלך אינם זורמים לאף אחד מהם. החריגים הם אלה שאתה יוצר: חיבור הכלי לחשבונות המכילים את הרשומות שלך, או הדבקת הפלט שלו להודעת פורטל מטופלים. פרסומות ופרקטיקות שיתוף נתונים הן דאגה נפרדת המוסדרת על ידי מדיניות הפרטיות.

האם זו הפרת HIPAA להשתמש ב-ChatGPT כדי לנסח מכתב מטופל?

לפעמים, וקו החלוקה הוא מזהים. בקשה לתבנית מכתב ערעור גנרית ללא פרטי מטופל אינה חשיפת PHI, אם כי מדיניות המעסיק שלך עשויה עדיין לאסור זאת. הדבקת שם, תאריך לידה, תאריך ביקור, או אבחנה הופכים אותה לחשיפה לספק ללא BAA, וזו ההפרה.

השורה התחתונה

האם ChatGPT תואם ל-HIPAA? לא, והתשובה הזו לא תשתנה בגלל הגדרה שתפעיל. היא משתנה רק כאשר ארגון חותם על BAA המציין מוצר ספציפי ואז בונה בקרות גישה, רישום, והדרכה סביבו. אם אתה קלינאי, הרצף פשוט: אין חוזה, אין PHI, וזהה לתקן Safe Harbor כשאתה משתמש בו. אם אתה מטופל, השאלה כוונה לחוק הלא נכון. HIPAA מגביל את הספקים שלך ואת הספקים שלהם. ההגנה שלך מגיעה ממדיניות הפרטיות שאשרת, ה-FTC שמאחוריה, והשיפוט שלך לגבי מה להקליד.

הצהרת אחריות: מאמר זה מיועד למטרות מידע בלבד ואינו מהווה ייעוץ רפואי. תמיד התייעץ עם ספק שירותי בריאות מוסמך לקבלת החלטות אבחון וטיפול. אם אתה חווה מצב חירום רפואי, התקשר 911 או גש לחדר המיון הקרוב ביותר באופן מיידי.